「MIRACLE Vul Hammer」は、CentOSをはじめとするLinuxやWindowsなどのソフトウェアと、ネットワークスイッチなどのデバイスの脆弱性を高精度でスキャン可能にし、各サーバーのパッチ適用状況と事前に設定したポリシーへの違反を一元管理可能にして効率的な脆弱性管理を実現しています。最新版の「MIRACLE Vul Hammer」を活用することにより、既存の運用体制のまま、企業のソフトウェア管理業務の大幅な省力化を実現し、脆弱性の早期発見や迅速な対応を通じてサイバー攻撃のリスク低減を支援します。
＜背景＞
警察庁が公表している「令和４年におけるサイバー空間をめぐる脅威の情勢等について」※1 によると、令和４年中に警察庁に報告されたランサムウェア攻撃の被害件数は前年比で57.5％増加し、令和2年から昨年にかけて右肩上がりで増加しています。従来のランサムウェア攻撃は不特定多数を攻撃対象として不正なURLやファイルを添付した電子メールを配信していたのに対して、近年は特定の個人や企業、団体のネットワークやVPN機器などのインフラの脆弱性を利用して攻撃が行われています。また、開発されたランサムウェアをサービスとして利用できるRaaS※2 の登場により、攻撃者にマルウェア開発の知識がなくても容易にサイバー攻撃を行うことができ、サイバー攻撃のビジネス化が進んでいます。大企業のみならず中小企業も攻撃対象となっているため、規模を問わずすべての組織・企業において、脆弱性を可視化して迅速なアップデートを行うことがセキュリティ対策として求められています。
こうした背景を受け、このたびサイバートラストでは、組織・企業における脆弱性管理の導入・運用を支援するために、MIRACLE Vul Hammer にいくつかの機能強化を行いました。従来の MIRACLE Vul Hammer では、検知した脆弱性に対して、ユーザへメールやSlackへの通知連携が可能ですが、導入・運用する上でのツール連携の拡張性が課題となっていました。今回新たにMIRACLE Vul Hammer のAPI を公開し、APIによるデータの入出力が可能になりました。これによって、資産管理ツールやタスク管理ツールなどと連携し、組織・企業の運用方法に沿ったデータの入出力やタスク通知を行うことができます。株式会社日立製作所が開発・提供する、2022年度の国内運用管理ソフト市場において売上トップシェア※3の実績を誇る統合システム運用管理ツール「JP1」との連携では、MIRACLE Vul Hammerで検知した脆弱性情報をJP1に通知することで、システム運用管理の一元化を実現します。また、タスク機能の改善によってユーザー独自のステータス管理を行うことが可能になり、EOL対応やセキュリティガイドラインの対応状況を管理可能にしました。
これらの新機能により、既存で利用している運用管理ツールやタスク管理ツールなどによる組織の独自の運用体制を変えずに脆弱性管理を導入することが可能になり、システム運用における負荷の低減と効率的なセキュリティ強化を支援します。
■「MIRACLE Vul Hammer」の機能強化点
-
MIRACLE Vul Hammer のAPIを公開
APIを用いることによりWebUIを利用しない運用や、レポート作成のためのデータの入出力やタスク通知を行うことが可能になりました。 -
統合システム運用管理ツール「JP1」との連携
検知した脆弱性情報をJP1に通知することで、運用管理ツールと、監視・脆弱性管理ツールとの両立した運用の負荷を軽減します。
-
タスク機能の改善
組織で管理している独自の脆弱性の対応状況や、EOL対応、NIST SP800-171、 NIST SP800-53、 PCIDSSといったセキュリティガイドラインの対応状況など、独自のステータス管理が可能になりました。
-
SBOM ※4のインポート機能のWebUI対応
WebUIからSBOMのインポートが可能になりました。SBOMをインポートすることで依存関係にあるパッケージを含めて脆弱性管理を行なうことができます。
※現状対応しているファイル形式は、SPDX ※5（JSON）形式になります。
サイバートラストは、今後もMIRACLE Vul Hammerの機能強化および連携ツールの拡充を行うことで、脆弱性の早期発見と効率的な脆弱性管理を実現し、セキュアなシステム運用を支援してまいります。
※1 「令和４年におけるサイバー空間をめぐる脅威の情勢等について」（警察庁）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R04_cyber_jousei.pdf
※2 RaaSとは：Ransomware as a Service の略で、ランサムウェアをサービスとして提供する形態のこと。利用料金を支払うことで容易にランサムウェアを作成、攻撃に利用することができる。
※3 出典：テクノ・システム・リサーチ 運用管理ソフトウェア国内シェア（2023年8月）
※4 SBOM（Software Bill of Materials）とは：ソフトウェアに含まれるコンポーネントや依存関係、ライセンスの種類などをリスト化したソフトウェア部品表。ソフトウェアサプライチェーンにおいてトランスペアレンシー（透明性）とトレーサビリティ（追跡可能性）を確保するための有効な手段として、世界的に普及が進んでいます。
※5 SPDX（Software Package Data Exchange）とは：ソフトウェアパッケージに関連するソフトウェア名やバージョン、ライセンス、著作権表示などの情報を共有するための標準的なフォーマットで、Linux Foundation傘下にあるプロジェクト（SPDX Workgroup）が定義し国際標準化されています。
■「MIRACLE Vul Hammer」について
■サイバートラスト株式会社について
サイバートラストは、日本初の商用電子認証局として 20 年以上にわたり提供している認証・セキュリティサービスと、ミラクル・リナックスのカーネル技術やオープンソースソフトウェア（OSS）の知見を応用したオンプレミス、クラウド、組込み領域向けの Linux/OSS サービスを展開しています。また、これらの技術や実績を組み合わせ、IoT をはじめとする先端分野に向けて、「ヒト・モノ・コト」の正しさを証明し、お客様のサービスの信頼性を支えるサービスを推進しています。
「すべてのヒト、モノ、コトに信頼を」。サイバートラストは、IT インフラに関わる専門性・中立性の高い技術で、安心・安全な社会を実現します。
■本リリースのURL
https://www.cybertrust.co.jp/pressrelease/2023/0921-mvh.html
* 本プレスリリースに記載されている会社名、製品名、サービス名は、当社または各社、各団体の商標もしくは登録商標です。
